OPAQUE 首席执行官 Aaron Fulkerson – 采访系列

Aaron Fulkerson，OPAQUE 的首席执行官，是一位长期的企业软件企业家和开源先驱，他的职业生涯跨越了二十多年，专注于建设和扩展以信任、数据和数字转型为重点的技术平台。在加入 OPAQUE 之前，他创立了 MindTouch，并帮助其发展成为被 NICE Systems 收购的广泛采用的企业知识平台。此外，他还领导了 ServiceNow (NOW ) Impact 的推出，这是 ServiceNow 历史上增长最快的业务单位之一。在他的整个职业生涯中，Fulkerson 一直在新兴技术、企业软件和开源生态系统的交叉点工作，同时还为多家科技初创公司和组织提供咨询。最近，他成为了机密 AI 的著名倡导者，认为隐私、治理和可验证的信任将成为 AI 系统被集成到关键企业工作流中的基础要求。

OPAQUE 是一家机密 AI 公司，源自著名的 UC Berkeley RISELab，这也是 Apache Spark 和 Databricks 等技术的诞生地。该公司开发了一款平台，允许企业在高度敏感的数据上运行 AI 模型、代理和工作流，同时保持加密的可验证性和合规性保证。与其迫使组织在 AI 创新和数据安全之间做出选择，OPAQUE 使用机密计算、加密运行环境和硬件证明执行来确保敏感信息在 AI 处理前、期间和之后保持保护。其技术专为高度监管的行业设计，包括金融、保险、医疗保健和高科技，客户和合作伙伴包括 ServiceNow、Anthropic、Accenture 和其他寻求将 AI 项目从试点转移到生产而不暴露专有或监管数据的企业组织。

您在职业生涯中建立和扩展了多个企业平台，那么是什么促使您担任 OPAQUE 的首席执行官并专注于信任、隐私和 AI 治理的下一章节？

我花了近二十年时间建立企业平台，首先是在 MindTouch，这仍然被每年十亿用户使用，然后是在 ServiceNow，我在那里创建了他们最快增长的产品。两者都教会了我同样的教训：最强大的技术只有在人们信任它时才会获胜。

当我遇到 OPAQUE 的联合创始人 Raluca Ada Popa、Ion Stoica 和 Rishabh Poddar 时，我看到了一个罕见的才华和愿景的结合。Raluca 是世界上最著名的隐私和安全研究人员之一。Ion 是 Databricks 的联合创始人。Rishabh 构建了成为 OPAQUE 基础的核心加密系统。

在 UC Berkeley 的 RISELab，他们创建了我立即认可为世代性的东西：加密证明数据在每个 AI 工作流中保持私密。不是承诺。不是政策。证明。

我看到了 AI 的发展方向，代理在企业系统中以机器速度自治地运行，我看到了 Vint Cerf 三十年来一直警告的同样的差距：没有信任层。互联网在没有信任层的情况下幸存下来，因为人类是防护栏。代理网络不会有这样的奢侈。就是这让我产生了兴趣。

MCP（模型上下文协议，一种允许 AI 代理安全访问工具、应用程序和数据的标准）正在成为企业部署和扩展代理 AI 的共同基础，您如何看待这将改变企业部署和扩展代理 AI 的方式？

MCP 是企业部署和扩展代理 AI 的重要一步。可以将其视为 AI 工作流的通用连接器。它标准化了代理如何连接到工具、应用程序和数据，减少了真正的摩擦并加快了实验速度。

但是，标准化访问并不使代理 AI 安全或可扩展。随着代理、工具和数据源的增加，数据泄露的表面积也会随着每个新集成而增加。每个缺乏运行时执行的连接点都是一个潜在的暴露向量。当 AI 代理与敏感系统和专有逻辑交互时，静态和网络控制是不够的。安全边界已经转移到运行时，这种转变变得更加紧迫，因为生态系统正在扩展。

在这些基本连接点具有可验证性对于企业来说将是至关重要的。企业可以在 MCP 风格的访问与加密证明相结合时扩展代理 AI——加密证明表明代码运行在哪里、以什么政策运行、在执行前、执行期间和执行后。访问加上可验证性。这就是解锁生产的组合。

随着 MCP 标准化代理访问，您现在看到代理驱动系统中安全性、政策执行和信任的最大差距在哪里？

我们完成了 2026 年 AI 泄漏表面研究，并发表了我们的研究结果总结《您的 AI 堆栈以十二种方式泄漏数据》。我们确定了 46 个暴露向量，跨越 8 个类别，涵盖了完整的 AI 信任边界：计算、控制、应用程序和它们之间的交接。这些不是恶意行为者。这是系统看起来正常、日志干净，但仍然泄漏数据的场景。

最大的差距不在连接；MCP 正在解决这个问题。差距在于连接后发生了什么。大多数组织无法回答三个基本问题：我们的 AI 实际上如何表现？谁控制它？以及我们如何证明政策被执行？

我们的研究表明，边界被配置但从未执行。政策存在于文档、配置文件或部署时设置中，但运行的系统并未受到约束。AI 执行助理将机密信息放在日历邀请上。RAG 协同处理器向初级分析师提供董事级财务信息。SDK 在 12 个月内默默地泄漏了 1000 万个查询。在每种情况下，访问控制都存在。但数据仍然泄漏了。

直到企业关闭配置政策和执行政策之间的差距，MCP 标准化了前门。但房子仍然无人看守。

当 AI 代理被授予访问敏感系统和专有数据的权限时，通常会出现哪些新的隐私和合规性风险，企业往往没有准备好应对？

大多数企业认为隐私是静态数据或传输中的数据。但是，这种模型在代理工作流中会破坏，因为使用数据时的风险最大。

我想说明一下。一个性能汽车制造商在其装配线上运行 AI。原始数据看起来无害：传感器读数、定时序列、质量检查。但是，LLM 现在可以从数据排放中重建专有制造流程。五年前看起来像噪音的东西现在变成了竞争对手的蓝图。

我们的 AI 泄漏表面研究记录了这种模式，跨越了几十种情景。运营遥测工具默认捕获完整的 AI有效载荷，一家欧洲银行有 210 万个包含个人身份信息的提示流向美国 SaaS 实例，因为没有人更改 APM 默认设置。代理内存在会话之间泄漏上下文。链式思维跟踪向可由承包商访问的可观察性平台暴露完整的调查记录。传统的合规框架并未设计为检测此类泄漏。它们假设人类以人类的速度移动数据。

为什么机密 AI 正在成为 MCP 的必要对应物，它如何解决访问标准无法解决的挑战？

MCP 解决谁可以访问什么以及如何访问，而机密 AI 解决了授予访问权限后会发生什么。它们是互补的层次。

访问标准无法防止运行时损害、政策漂移或未经授权的数据使用。可以这样想：MCP 为您提供了一种标准化的方式将代理连接到您的系统。机密 AI 为您提供了加密保证，一旦连接，代理只能执行授权操作，您可以证明这一点。

机密 AI 在运行时跨数据、身份、代码和通信提供这些保证。它提供了可验证的执行证明，并确保隐私和政策执行不仅仅在访问边界停止，还会在 AI 主动推理、生成和执行时持续存在。没有它，MCP 只是一个坚实的基础。但是，只有基础是不够的。

在实践中，对于一个在关键工作流中运行自治 AI 代理的企业来说，可验证的信任是什么样的？

可验证的信任意味着我可以证明哪些代码运行、在哪里运行、在哪些政策下运行、访问了哪些数据以及系统随时间的行为方式。

在实践中，考虑一个保险公司使用 AI 代理处理需求信。执行前，硬件证明验证代理的身份和环境的完整性。在执行期间，TEE 中的加密策略绑定确保数据受到保护并且策略得到执行。在执行后，防篡改的审计跟踪记录了发生了什么。

在代理工作流中的风险不是代理失控。真正的风险是无法证明策略是否执行或敏感数据在代理运行时是否受到保护——在执行前、执行期间和执行后。就是这样子的可验证信任。

由于代理系统以机器速度运行，传统的人类监督为什么会失效，组织应该如何在这个新环境中重新思考治理？

几十年来，互联网有一个隐形的防护栏：我们。人类阅读内容，故意点击，不会默默地跨越一百个系统同时运行。

代理 AI 消除了这些假设。代理持续运行，以机器速度做出决定，并可以被为人类设计但可被机器利用的环境操纵。恶意网页不需要欺骗 AI，就像欺骗人类一样；它可以简单地指示 AI。

仅仅 1% 的风险，每个代理面临 63% 的漏洞风险。扩展到一千个代理，风险就达到 99.99%。人类在循环中的治理无法跟上这些数字。监督必须从事后反应转变为运行时保证。这意味着零信任工作流、默认的策略执行和不依赖于人类事后发现故障的可验证执行。

您在企业尝试使用代理 AI 而没有内置信任层时看到的最常见的安全故障是什么？

我看到的最常见的模式是企业让代理运行和协调，没有任何加密保证来约束其行为。他们正在处理敏感的知识产权，仅仅依靠希望。

其后果是可以预测的，我们在 AI 泄漏表面研究中记录了具体的模式。运行时损害绕过传统的周边防御，因为代理已经在网络内部。自治代理链创建了级联故障。一个被利用的代理会触发连接系统中的多米诺效应。专有逻辑通过数据排放泄漏，因为没有人想到要监控它。代理在运行时失去了区分企业意图和恶意输入的能力，因为没有可验证的身份或策略绑定。这些并非假设。我们绘制了 46 个向量，数据即使看起来没有问题也会逃离其预期控制。AI 代理以机器速度生成和共享数据。没有内置于工作流中的可验证的运行时保障，故障会比任何安全团队能够检测或响应的速度更快地传播。

领先的组织如何平衡解锁高级 AI 能力的需求与保护其最敏感的数据资产的需求？

正确做到这一点的组织将隐私和治理视为加速器，而不是制动器。这是关键的洞察。

我在现场看到的是，领先的企业将高级 AI 能力与提供可验证保证的机密 AI 平台相结合，而不是仅仅依靠合规清单。他们正在解锁敏感数据以用于 AI 创新，同时确保专有信息即使在工作流运行自治时也受到保护。

旧框架是能力与安全性。那些行动最快的组织已经完全拒绝了这种权衡。他们将可验证的信任建立在 AI 战略的基础上，使他们能够将最有价值的数据投入使用。同时，他们的竞争对手仍然停留在试点模式，运行在对业务没有影响的清理数据集上的 AI。

根据您今天看到的情况，未来几年企业 AI 治理模型将如何随着代理系统从试点转向全面生产而演变？

治理将从文档转变为证明。这是最简单的方式。早期的治理模型是为人类步调的软件构建的：纸面政策、部署前审批、事后审查。代理系统打破了所有这些假设。它们持续运行、自主决策，并以机器速度产生级联效应。

我们看到的是治理向运行时可验证性转变，得到了加密保证的支持，这些保证在代理的整个生命周期中证明了行为——在执行前、执行期间和执行后。我们在 HTTPS 中看到的同样的模式正在成为 Web 流量的默认模式。现在没有人会争论是否应该加密 Web 连接。在几年内，没人会争论是否应该在运行时验证 AI 执行。它将成为基本要求。

感谢这次精彩的采访，希望了解更多的读者可以访问 OPAQUE。